8.3. 网络策略

流程

1. 在 OpenShift Cluster Manager 中点您要访问的集群。
2. 点 Open console 以进入到 OpenShift Web 控制台。
3. 点身份提供程序，并提供您的凭证以登录到集群。
4. 使用管理员视角，在 Networking 下点 NetworkPolicies。
5. 点 Create NetworkPolicy。
6. 在 Policy name 字段中，提供策略的名称。
7. 可选：如果此策略仅适用于一个或多个特定的 pod，您可以为特定 pod 提供标签和选择器。如果您没有选择特定 pod，则此策略将适用于集群中的所有 pod。
8. 可选： 您可以通过选择 Deny all ingress traffic 或 Deny all egress traffic 复选框来阻止所有入口和出口流量。
9. 您还可以添加入口和出口规则的任意组合，允许您指定您要批准的端口、命名空间或 IP 块。

10. 在您的策略中添加入站规则：

    1. 选择 Add ingress 规则来配置新规则。此操作在 Add allowed source 下拉菜单中创建一个新的 Ingress rule 行，允许您指定如何限制入站流量。下拉菜单提供三个选项来限制您的入口流量：

       • Allow pods from the same namespace 将流量限制为到同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
       • Allow pods from inside the cluster 将流量限制到与策略相同的集群中的 pod。您可以指定要允许入站流量的命名空间和 pod。将此选项留空可让来自此集群中所有命名空间和 pod 的入站流量。
       • Allow peers by IP block 限制指定无域间路由 (CIDR) IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的所有入站流量。
    2. 您可以将所有入站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。

11. 在您的网络策略中添加出口规则：

    1. 选择 Add egress rule 来配置新规则。此操作会创建一个带有 Add allowed destination"* 下拉菜单的新 Egress 规则 行，它允许您指定如何限制出站流量。下拉菜单提供三个选项来限制您的出口流量：

       • Allow pods from the same namespace 将出站流量限制为同一命名空间中的 pod。您可以在命名空间中指定 pod，但将此选项留空允许来自该命名空间中的所有 pod 的流量。
       • Allow pods from inside the cluster 将流量限制到与策略相同的集群中的 pod。您可以指定要允许出站流量的命名空间和 pod。将这个选项留空允许来自此集群中所有命名空间和 pod 的出站流量。
       • Allow peers by IP block 限制指定 CIDR IP 块的流量。您可以使用例外选项阻止特定的 IP。将 CIDR 字段留空允许所有外部来源的出站流量。
    2. 您可以将所有出站流量限制为端口。如果您不添加任何端口，则流量可以访问所有端口。

流程

1. 从 OpenShift Cluster Manager Web 控制台的 Administrator 视角，在 Networking 下点 NetworkPolicies。
2. 选择要查看的网络策略。
3. 在 Network Policy 详情页面中，您可以查看所有相关入口和出口规则。

4. 选择网络策略详情上的 YAML 以 YAML 格式查看策略配置。

   注意

   您只能查看这些策略的详情。您不能编辑这些策略。

流程

1. 从 OpenShift Cluster Manager Web 控制台的 Administrator 视角，在 Networking 下点 NetworkPolicies。

2. 使用以下方法删除您的网络策略：

   • 从 Network Policies 表中删除策略：

     1. 在 Network Policies 表中，选择您要删除的网络策略行的堆栈菜单，然后点 Delete NetworkPolicy。

   • 使用独立网络策略详情中的 Actions 下拉菜单删除策略：

     1. 点网络策略的 Actions 下拉菜单。
     2. 从菜单中选择 Delete NetworkPolicy。

流程

1. 以具有 cluster-admin 特权的用户身份登录。

2. 生成默认项目模板：

   $ oc adm create-bootstrap-project-template -o yaml > template.yaml

3. 使用文本编辑器，通过添加对象或修改现有对象来修改生成的 template.yaml 文件。

4. 项目模板必须创建在 openshift-config 命名空间中。加载修改后的模板：

   $ oc create -f template.yaml -n openshift-config

5. 使用 Web 控制台或 CLI 编辑项目配置资源。

   • 使用 Web 控制台：

     1. 导航至 Administration Cluster Settings 页面。
     2. 单击 Configuration 以查看所有配置资源。
     3. 找到 Project 的条目，并点击 Edit YAML。

   • 使用 CLI：

     1. 编辑 project.config.openshift.io/cluster 资源：

        $ oc edit project.config.openshift.io/cluster

6. 更新 spec 部分，使其包含 projectRequestTemplate 和 name 参数，再设置您上传的项目模板的名称。默认名称为 project-request。

   带有自定义项目模板的项目配置资源

   apiVersion: config.openshift.io/v1
   kind: Project
   metadata:
   # ...
   spec:
     projectRequestTemplate:
       name: <template_name>
   # ...

7. 保存更改后，创建一个新项目来验证是否成功应用了您的更改。

流程

1. 运行以下命令来编辑新项目的默认模板：

   $ oc edit template <project_template> -n openshift-config

   将 <project_template> 替换为您为集群配置的缺省模板的名称。默认模板名称为 project-request。

2. 在模板中，将每个 NetworkPolicy 对象作为一个元素添加到 objects 参数中。objects 参数可以是一个或多个对象的集合。

   在以下示例中，objects 参数集合包括几个 NetworkPolicy 对象。

   objects:
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-same-namespace
     spec:
       podSelector: {}
       ingress:
       - from:
         - podSelector: {}
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-openshift-ingress
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               network.openshift.io/policy-group: ingress
       podSelector: {}
       policyTypes:
       - Ingress
   - apiVersion: networking.k8s.io/v1
     kind: NetworkPolicy
     metadata:
       name: allow-from-kube-apiserver-operator
     spec:
       ingress:
       - from:
         - namespaceSelector:
             matchLabels:
               kubernetes.io/metadata.name: openshift-kube-apiserver-operator
           podSelector:
             matchLabels:
               app: kube-apiserver-operator
       policyTypes:
       - Ingress
   ...

3. 可选：通过运行以下命令创建一个新项目，来确认您的网络策略对象已被成功创建：

   1. 创建一个新项目：

      $ oc new-project <project> 1

      1

      将 <project> 替换为您要创建的项目的名称。

   2. 确认新项目模板中的网络策略对象存在于新项目中：

      $ oc get networkpolicy
      NAME                           POD-SELECTOR   AGE
      allow-from-openshift-ingress   <none>         7s
      allow-from-same-namespace      <none>         7s

流程

1. 创建以下 NetworkPolicy 对象：

   1. 名为 allow-from-openshift-ingress 的策略。

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-ingress
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                policy-group.network.openshift.io/ingress: ""
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

      注意

      policy-group.network.openshift.io/ingress: "" 是 OpenShift SDN 的首选命名空间选择器标签。您可以使用 network.openshift.io/policy-group: ingress 命名空间选择器标签，但这是一个比较旧的用法。

   2. 名为 allow-from-openshift-monitoring 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-openshift-monitoring
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                network.openshift.io/policy-group: monitoring
        podSelector: {}
        policyTypes:
        - Ingress
      EOF

   3. 名为 allow-same-namespace 的策略：

      $ cat << EOF| oc create -f -
      kind: NetworkPolicy
      apiVersion: networking.k8s.io/v1
      metadata:
        name: allow-same-namespace
      spec:
        podSelector:
        ingress:
        - from:
          - podSelector: {}
      EOF

   4. 名为 allow-from-kube-apiserver-operator 的策略：

      $ cat << EOF| oc create -f -
      apiVersion: networking.k8s.io/v1
      kind: NetworkPolicy
      metadata:
        name: allow-from-kube-apiserver-operator
      spec:
        ingress:
        - from:
          - namespaceSelector:
              matchLabels:
                kubernetes.io/metadata.name: openshift-kube-apiserver-operator
            podSelector:
              matchLabels:
                app: kube-apiserver-operator
        policyTypes:
        - Ingress
      EOF

      如需了解更多详细信息，请参阅 新的kube-apiserver-operator Webhook 控制器验证 Webhook 的健康状况。

2. 可选： 要确认当前项目中存在网络策略，请输入以下命令：

   $ oc describe networkpolicy

   输出示例

   Name:         allow-from-openshift-ingress
   Namespace:    example1
   Created on:   2020-06-09 00:28:17 -0400 EDT
   Labels:       <none>
   Annotations:  <none>
   Spec:
     PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
     Allowing ingress traffic:
       To Port: <any> (traffic allowed to all ports)
       From:
         NamespaceSelector: network.openshift.io/policy-group: ingress
     Not affecting egress traffic
     Policy Types: Ingress
   
   
   Name:         allow-from-openshift-monitoring
   Namespace:    example1
   Created on:   2020-06-09 00:29:57 -0400 EDT
   Labels:       <none>
   Annotations:  <none>
   Spec:
     PodSelector:     <none> (Allowing the specific traffic to all pods in this namespace)
     Allowing ingress traffic:
       To Port: <any> (traffic allowed to all ports)
       From:
         NamespaceSelector: network.openshift.io/policy-group: monitoring
     Not affecting egress traffic
     Policy Types: Ingress